La protection des donn\u00e9es des clients est essentielle pour toute entreprise acceptant des informations de paiement en ligne. La norme de s\u00e9curit\u00e9 des donn\u00e9es de l’industrie des cartes de paiement (PCI DSS), cr\u00e9\u00e9e par les principales soci\u00e9t\u00e9s de cartes de cr\u00e9dit, \u00e9tablit les meilleures pratiques pour prot\u00e9ger les informations des consommateurs. En adh\u00e9rant \u00e0 ces normes, les entreprises peuvent s’assurer que les informations personnelles et financi\u00e8res de leurs clients sont s\u00e9curis\u00e9es. <\/p>\n
Les normes de s\u00e9curit\u00e9 PCI DSS s’appliquent \u00e0 toute entreprise qui traite, stocke ou transmet des informations de carte de cr\u00e9dit. Le non-respect de la norme PCI DSS peut entra\u00eener des amendes et des p\u00e9nalit\u00e9s co\u00fbteuses de la part des soci\u00e9t\u00e9s de cartes de cr\u00e9dit. Cela peut \u00e9galement entra\u00eener une perte de confiance des clients, ce qui peut \u00eatre d\u00e9vastateur pour toute entreprise.<\/p>\n
PCI DSS 4.0 a \u00e9t\u00e9 publi\u00e9 en mars 2022 et remplacera la norme PCI DSS 3.2.1 actuelle en mars 2025. Cela offre une p\u00e9riode de transition de trois ans pour que les organisations soient conformes \u00e0 la version 4.0.<\/p>\n
La derni\u00e8re version de la norme mettra l’accent sur un domaine de s\u00e9curit\u00e9 n\u00e9glig\u00e9 mais d’une importance cruciale. Pendant longtemps, les menaces c\u00f4t\u00e9 client, qui impliquent des incidents de s\u00e9curit\u00e9 et des failles qui se produisent sur l’ordinateur du client plut\u00f4t que sur les serveurs de l’entreprise ou entre les deux, ont \u00e9t\u00e9 ignor\u00e9es. Mais cela change avec la sortie de PCI DSS 4.0. Maintenant, de nombreuses nouvelles exigences se concentrent sur s\u00e9curit\u00e9 c\u00f4t\u00e9 client<\/a>.<\/p>\n Par exemple, l’exigence 6.3.2 impose d\u00e9sormais aux entreprises d’identifier et de r\u00e9pertorier tous leurs logiciels, y compris tout logiciel tiers int\u00e9gr\u00e9 dans leur environnement. L’exigence 6.3.3 n\u00e9cessite des mises \u00e0 jour pour les vuln\u00e9rabilit\u00e9s connues \u00e0 l’aide des correctifs de s\u00e9curit\u00e9 et des mises \u00e0 jour disponibles. L’exigence 6.4.1 demande aux entreprises de faire face aux nouvelles menaces et vuln\u00e9rabilit\u00e9s associ\u00e9es aux applications Web destin\u00e9es au public et de traiter toutes les menaces connues.<\/p>\n De plus, l’exigence 6.4.2 stipule que les applications Web automatis\u00e9es destin\u00e9es au public doivent \u00eatre correctement configur\u00e9es pour d\u00e9tecter et emp\u00eacher les attaques Web. Il note \u00e9galement que les configurations doivent \u00eatre en cours d’ex\u00e9cution, \u00e0 jour et capables de bloquer les attaques ou de g\u00e9n\u00e9rer des alertes indiquant un probl\u00e8me potentiel. Enfin, l’exigence 6.4.3 exige que les organisations autorisent tous les scripts charg\u00e9s et ex\u00e9cut\u00e9s dans le navigateur d’un client.<\/p>\n De plus, les sections 11 et 12 ont des implications pour la s\u00e9curit\u00e9 c\u00f4t\u00e9 client, y compris l’identification, la hi\u00e9rarchisation et le traitement des vuln\u00e9rabilit\u00e9s externes et internes et la d\u00e9tection et la r\u00e9ponse aux intrusions sur le r\u00e9seau et aux modifications de fichiers inattendues. <\/p>\n Les exigences incluses dans PCI DSS 4.0 pourraient faire beaucoup pour aider \u00e0 am\u00e9liorer s\u00e9curit\u00e9 c\u00f4t\u00e9 client<\/a>. Bien que les contr\u00f4les de s\u00e9curit\u00e9 traditionnels, tels que les pare-feu d’applications Web, prot\u00e8gent contre certaines menaces en ligne, ils n’\u00e9tendent pas la couverture au navigateur du client. Par cons\u00e9quent, les logiciels malveillants d’\u00e9cr\u00e9mage sophistiqu\u00e9s, les attaques de cha\u00eene d’approvisionnement, les attaques de chargement lat\u00e9ral et de chargement en cha\u00eene ne sont souvent pas d\u00e9tect\u00e9s, ce qui rend les entreprises vuln\u00e9rables.<\/p>\n Alors qu’un politique de s\u00e9curit\u00e9 du contenu<\/a> peut aider \u00e0 assurer la conformit\u00e9, en cr\u00e9er et en maintenir une sans automatisation n’est possible que si vos applications Web et l’utilisation de votre site Web restent stables. Dans les environnements dynamiques, un CSP \u00e9choue souvent et il peut \u00eatre impossible de d\u00e9terminer pourquoi il a \u00e9chou\u00e9 en raison de l’absence d’une solution fonctionnelle. <\/p>\n Pour se conformer \u00e0 la prochaine norme PCI DSS 4.0, les entreprises doivent commencer \u00e0 apporter des modifications. Cela inclut de d\u00e9terminer les actifs Web dont ils disposent et d’o\u00f9 ils proviennent, d’examiner le code et de suivre les meilleures pratiques d\u00e9finies par PCI 4.0. Cela pourrait poser un probl\u00e8me pour les grandes entreprises avec des milliers de lignes de scripts en cours d’utilisation. Pour ces entreprises, allouer du temps pour passer au crible et \u00e9tiqueter les lignes de code peut prendre des milliers d’heures. <\/p>\n Dans ce sens, les entreprises devraient envisager d’utiliser des solutions de s\u00e9curit\u00e9 modernes pour les aider \u00e0 se conformer \u00e0 la norme PCI 4.0. Politiques de s\u00e9curit\u00e9 de contenu automatis\u00e9es<\/a> peut d\u00e9tecter tous les scripts propri\u00e9taires et tiers, les ressources num\u00e9riques et les donn\u00e9es auxquelles ils peuvent acc\u00e9der. Ils peuvent ensuite g\u00e9n\u00e9rer des politiques de s\u00e9curit\u00e9 de contenu pertinentes. Les organisations peuvent \u00e9galement arr\u00eater les activit\u00e9s Web non autoris\u00e9es ou ind\u00e9sirables, telles que le blocage de l’exportation des donn\u00e9es de titulaire de carte, par exemple, en utilisant outils de suivi et de gestion<\/a>. <\/p>\n Les modifications apport\u00e9es \u00e0 la version 4.0 de PCI DSS signifient que les entreprises en ligne doivent prendre des mesures suppl\u00e9mentaires pour garantir la s\u00e9curit\u00e9 des donn\u00e9es de leurs clients. Les entreprises qui souhaitent garder une longueur d’avance sur la courbe de conformit\u00e9 doivent commencer \u00e0 apporter des changements d\u00e8s maintenant, notamment en s’attaquant aux risques de s\u00e9curit\u00e9 omnipr\u00e9sents c\u00f4t\u00e9 client avant que les attaquants ne puissent les exploiter.<\/p>\n <\/p>\n